La inteligencia artificial está llegando a todo tipo de sectores relacionados con el software e Internet. Todo ello por hablar de lo relacionado con la seguridad, algo de lo que se están beneficiando multitud de empresas como ahora sucede con Google.
Os contamos todo esto porque el gigante de las búsquedas, tal y como nos cuenta ahora, ha corregido un total de 1.072 fallos de seguridad en las dos últimas versiones de Chrome, una cifra que supera la suma de los parches publicados en los 23 lanzamientos anteriores del navegador. La compañía atribuye este salto a la incorporación de modelos de lenguaje de IA en cada fase de la gestión de vulnerabilidades, desde su detección hasta la generación de los propios parches.
Las versiones Chrome 149 y Chrome 150, publicadas recientemente, acumulan esas 1.072 correcciones frente a las 1.036 que sumaron conjuntamente las 23 versiones previas. Google explica que ya emplea inteligencia artificial en todo el ciclo de vida de una vulnerabilidad. Así, la detecta, reproduce el informe, determina su gravedad, asigna la tarea al desarrollador correspondiente, propone parches candidatos y genera las pruebas para validarlos, un proceso que os detallamos a continuación.
Cómo encuentran los agentes de IA fallos en el código de Chrome
La empresa empezó a usar modelos de lenguaje para mejorar la seguridad en 2023, antes de trabajar con Project Zero en Naptime. Este es un sistema que dotó a esos modelos de herramientas especializadas de investigación de vulnerabilidades. Después llegó Big Sleep, desarrollado junto a Google DeepMind y Project Zero, un agente que ya ha encontrado fallos en el motor V8 de JavaScript y en los componentes gráficos del navegador. A comienzos de 2026 la compañía creó, además, un agente basado en Gemini capaz de rastrear el código base completo de Chrome mientras reduce los falsos positivos.
Uno de los hallazgos de este sistema fue un escape del sandbox que llevaba más de 13 años presente en el código. De haberse explotado, un renderizador comprometido habría podido saltarse el aislamiento del navegador y leer archivos locales del equipo. Para ayudar a estos agentes a distinguir qué operaciones tienen implicaciones de seguridad, Google anima también a sus desarrolladores a añadir archivos SECURITY.md que describan los límites de confianza y los modelos de amenaza de cada componente.
De este modo, la empresa insiste en que estos flujos con múltiples agentes complementan las pruebas existentes, no las sustituyen, ya que el método tradicional sigue siendo eficaz para dar con vulnerabilidades complejas.
El aluvión de reportes obliga a automatizar también el proceso
El programa de recompensas por vulnerabilidades de Chrome ha notado el impacto de este cambio de enfoque. En marzo de 2026, Google ya había recibido más reportes de seguridad que durante todo 2025, lo que llevó a la compañía a modificar las condiciones del programa para priorizar los hallazgos que aportan algo distinto a lo que sus propias herramientas automatizadas ya detectan.
La automatización se ha extendido al proceso completo: filtrar spam y duplicados, reproducir las pruebas de concepto, asignar niveles de gravedad y enrutar cada informe al equipo responsable. Google calcula que este proceso ahorra cientos de horas de trabajo de sus desarrolladores cada mes. Una vez confirmada una vulnerabilidad, unos agentes generan varios parches candidatos mientras otro agente evalúa esas propuestas y aporta información adicional para que el equipo humano tome la decisión final.
En mayo, este sistema evitó que más de 20 vulnerabilidades llegaran a producción, entre ellas una clasificada como crítica.
Acortar el tiempo entre el parche y la actualización en vuestro navegador
Detectar y corregir errores más rápido plantea un problema adicional, en cuanto a que un parche se integra en el código fuente público de Chrome, cualquier atacante puede examinarlo e intentar averiguar en qué consistía la vulnerabilidad antes de que la actualización llegue a los usuarios. Para reducir esa ventana de exposición, Google está llevando el navegador a un ciclo de lanzamiento de dos semanas con actualizaciones de seguridad semanales, y ya está probando publicar dos actualizaciones de seguridad por semana.
La compañía trabaja además en lo que llama parcheo dinámico, una tecnología que permitiría aplicar actualizaciones sin necesidad de reiniciar el navegador. Desde Chrome 150, el navegador ya puede reiniciarse automáticamente en macOS para instalar una actualización pendiente cuando se ejecuta en segundo plano sin ventanas abiertas.
El objetivo a largo plazo, según la compañía, es mantener Chrome actualizado de forma continua combinando el parcheo dinámico, los reinicios automáticos durante los periodos de inactividad y una restauración de sesión mejorada que evite perder las pestañas abiertas.